2回答
在我的网站上，我可以让用户将文件上传到服务器上，并能够在一个名为"public uploads“的目录中查看所有上传的文件，在这个目录中，用户可以查看其他用户上传的所有文件。这是Apache目录页面，上面写着"Index of /uploads“。它是一种文件共享中心，人们可以在这里下载和共享其他人的文件。
这会有任何安全问题吗？比如说，用户可以上传恶意的PHP脚本，然后从客户端执行它吗？
我如何解决这些问题，它们应该存在吗？
浏览 3提问于2015-04-04得票数 0
1回答
我试图复制这个漏洞：
https://www.exploit-db.com/exploits/49294
根据解释，可以绕过Wordpress插件中的检查，在php扩展后添加一个特殊的char。
我正在尝试攻击，文件上传时名为shell.php<special_char>，包含一个简单的php代码<?php echo "poc"; ?>。
然后，我应该在<target>/..../shell.php<special_char>中导航shell，并执行源代码。
但我怎么能利用这个呢？PHP解释器注意到扩展与php不同(它是php+
浏览 0提问于2020-12-22得票数 1
试图通过“byte[]”和Silverlight5中的OpenWriteCompleted将数据上传到ASP.NET。如果数据大小较小，则所有数据都将被正确写入。如果我上传一个500 If的文件，我会得到数据损坏。
如何将500 to的文件上载到ASP.NET ?？
注意:我正试图将一个压缩文件上传到我的数据库中的MSSQL (MAX)列中。
浏览 2提问于2013-12-05得票数 0
1回答
无论我如何看待PHP函数的rename和move_uploaded_file之间的区别，它总是说，区别在于move_uploaded_file具有一些安全特性。
我的问题是：
这些安全特性是什么，如果我不使用它会发生什么？
如果我不能使用它(我做了上传，但不是通过帖子)，所以我必须使用rename功能，我需要采取什么安全措施？
谢谢。
编辑
@Pekka要求我详细说明我打算如何上传该文件。我将通过Ajax上传文件，并且我有一些用于上传倍数文件的队列功能。因此，我正在使用php://input流。
如果我正确地理解了Pekka的答案，我就没有什么好担心的了，因为我将该文件作为一个
浏览 0提问于2012-08-12得票数 1
回答已采纳
1回答
我想上传文件从客户端到服务器与前端在SilverLight。
我的问题是文件不在隔离存储中(这很容易！)。
这个应用程序在几个字中需要从用户计算机上传图像，类似于上传文件的FaceBook ( Java版本)。
有没有一种方法可以从用户那里获得权限，或者有一个我可能不知道的技巧来上传文件？
谢谢*我不想使用“打开文件”对话框。
浏览 1提问于2009-06-08得票数 3
回答已采纳
我需要测试一个网站，我发现一个脆弱的文件上传。只检查文件扩展名是.jpg、.png还是.pdf。我可以通过上传一个名为script.php.jpg的文件来绕过这个问题。我知道上传的文件存储在/uploads中。
我怎样才能执行那个脚本？在浏览器中键入http://example.com/uploads/script.php.jpg时，脚本不会执行。我知道服务器可以执行php代码，服务器有文件漏洞。
浏览 0提问于2018-06-24得票数 1
是否可以使用不在视图/布局中的布局文件？
我希望用户能够上传一个主题，其中有一个布局文件，并能够使用上传和解析的文件作为他们的布局。
这有可能吗？
浏览 0提问于2011-12-16得票数 1
我在一个经典的asp webform中使用jquery。表单本身是基本的，最多只能上传5个文件。
在上传文件时，我为用户提供了一个选项，可以从上传中删除其中一个文件。我为此使用的jquery代码是
$('#delete_attachment').click(function() {
if (confirm('Are you sure you want to delete this file?')) {
$('#file_format').val('');//this is for a textbox and wor
浏览 6提问于2015-08-31得票数 0
回答已采纳
我有一个ajax上传器，允许用户上传图片到程序，将显示回给用户。在允许文件留在服务器上之前，我要检查此文件是否有病毒。下面是它将文件发送到病毒扫描程序的代码。我希望能够看到扫描结果是否产生病毒，然后从服务器上删除它，如果它确实有病毒。
try
{
Process myProcess = new Process();
myProcess.StartInfo.FileName = @"C:\Program Files\AVG\AVG8\avgscanx.exe";
//myProcess.StartInfo.FileName=@"C:\Program
浏览 2提问于2011-08-04得票数 0
回答已采纳
1回答
XSS能引导我们找到本地文件包含还是远程文件包含？我读过一篇文章，它可以通过XSS漏洞上传shell，但我仍然不知道它是如何实现的。
浏览 0提问于2012-06-06得票数 1
回答已采纳
现在用了个dedecms 的GBK版，用腾云助手IIS版 默认的PHP 5.4.21有很多问题，想降低到 PHP 5.2.17。[图片]把之前的PHP 5.4卸载后，装上PHP5.2.1 就连不上MYSQL数据库了。Discuz 论坛提示：Oops! System file lost: class/class_mysqli.php大家知道什么原因吗，怎么解决。 新装低版本的PHP.ini 文件。也都有：extension=php_mysql.dllextension=php_mysqli.dll
浏览 838提问于2016-06-01
与手动查找漏洞相比，像w3af这样的工具在查找web应用程序漏洞方面有多有效？他们是否能够从OWASP前10名中找到所有漏洞，如反射xss、持久xss、sqli、lfi/rfi和不受限制的文件上传？还是会有一些漏洞从裂缝中掉下来，而仍未被发现？
浏览 0提问于2014-11-27得票数 3
1回答
如何在不浏览的情况下上传文件？因为我知道文件在哪里，所以我不想浏览到它。我正在尝试下面的代码，但它不起作用。
<form id="fupload" method="post" enctype="multipart/form-data">
<input type="file" name="f" value="D:\\test.docx" />
<input type="submit" name="submit" /
浏览 0提问于2011-11-28得票数 1
回答已采纳
2回答
在我的网站，我想让用户上传文件(他们将存储在一个数据库)，然后允许他们下载上传的文件之后。上传过程是在没有错误的情况下完成的，它们被保存在二进制文件中。
下载过程也工作，但下载的文件已损坏！知道为什么吗？
上传代码：
<?php require_once('Connections/databasestudents.php'); ?>
<?php
$fileName = $_FILES['file']['name'];
$tmpName = $_FILES['file']['tmp_name']
浏览 4提问于2013-12-13得票数 0
回答已采纳
1回答
我有一个小django网站，允许文件上传托管在pythonanywhere。这些文件被上传到aws s3。
现在的问题是，即使html中存在download属性，浏览器仍然呈现文件而不是下载文件。
<a download href="{{file_url}}">Download</a>
浏览 4提问于2021-01-19得票数 0
我已经下载了一个图片，有人已经上传到我的网站与公开上传表格。
我的目的是在虚拟机中复制文件并从虚拟机中看到图像；不幸的是，在ubuntu上有一种叫做“缩略图”的东西.
因此，创建了缩略图，我可以在文件资源管理器中看到图像，但我从未点击过该文件。
我在标准Ubuntu14.04上运行(以前的lubuntu桌面是以这种方式安装的，sudo apt-get install lubuntu桌面)。
浏览 0提问于2014-09-21得票数 1
我试着搜索这个问题的答案，但我所遇到的只是如何允许用户上传文件。
因此，我想要做的是对本地文件中的所有文件运行一个for循环，以获得每个文件的路径。有办法这样做吗？
浏览 3提问于2014-03-21得票数 0
回答已采纳
我想使用文件上传控件获得完整的文件路径。我想使用它们来获取该目录中的所有文件。
谢谢。
浏览 0提问于2011-09-10得票数 0
回答已采纳
1回答
为什么我上传的文件是空的？
、、、、
我使用将文件上传到运行Tomcat的web服务器。用户在完成上传后已经开始从服务器接收错误。日志表明服务器上的文件没有内容，在调试模式下运行的SWFUpload似乎不认为发送文件有问题。
只有当下列所有内容都为真时，此问题才会显示出来：
客户端使用SSL
客户端在Windows 7上
客户端使用Flash上传器。HTML上传很好。
客户端使用IE
浏览 2提问于2012-08-08得票数 0
回答已采纳
2回答
在IIS服务器+ MYSQL上进行渗透测试(练习)期间，我发现了一个不受限制的文件上载漏洞，我可以为此上载.php文件。
因此，我尝试使用passthru或exec命令上传php，但我收到了著名的响应“无法分叉.”因为，据我所知，我上传文件的文件夹具有某种安全保护，避免命令的执行。
尽管如此，我还是上传了一个.php文件，以便使用fopen、fread等命令读取示例文件，并且我已经成功地完成了它。
因此，我的问题是:为了获取任何类型的敏感信息，我可以阅读哪些特定的文件？换句话说:我可以上传一个php文件，这个文件可以显示一个文件的内容，但是我不知道我应该看什么文件。
结束问题:如果不允许上传像
浏览 0提问于2013-12-18得票数 3
我刚刚接到通知，在我运行的站点上有一个远程代码执行漏洞和一个xss漏洞。我已经修复了负责任的代码，但是我想知道之后应该采取哪些步骤来：
确保服务器是安全的
确保没有数据被泄露
确保没有上传恶意文件。
远程代码执行漏洞特别糟糕，允许在服务器上运行任何PHP代码并向用户显示输出。
该应用程序托管在上。在新实例上重新部署会有帮助吗？
浏览 0提问于2018-10-30得票数 1
我有一个web应用程序，用户可以上传文件。所以我想知道，如果用户选择一个文件上传，然后关闭浏览器，那么是否有可能在用户返回应用程序后，在没有用户操作的情况下直接上传这个文件并直接上传它，或者只是一个对话框来确认。
我已经考虑过本地存储，但我不能存储图像，通常超过10 MB的限制。但是我不知道用本地存储存储文件的路径是否允许我通过使用存储的路径直接上传它。
浏览 0提问于2019-06-19得票数 0
回答已采纳
1回答
我有dotNetNuke的网站。有人上传"i.htm“文件到我的网站文件夹。文件里写着“Kro0oz.305先生”我不明白怎么能做到这一点。所以你有一些版本，黑客怎么能做到呢？另外，如何设置我的服务器更安全？
浏览 0提问于2016-09-26得票数 1
1回答
我有一个自定义的php网络应用程序，用户将能够上传图像。我知道有一个图像文件的安全问题，因为黑客可以向它们添加恶意代码，并通过图像文件的url触发它们。
因此，我不再将图片存储在网络服务器中，并将其直接上传到亚马逊S3。我想知道黑客是否仍然有可能用恶意图像达到相同的结果，即使图像文件存储在完全不同的地方，如亚马逊S3。
浏览 13提问于2017-07-19得票数 2
1回答
我如何使用Fiddler来编辑Content-Type参数，从text/plain到image/jpeg (例如)，这样我就可以测试文件上传表单的漏洞？因此，如果我的站点检查content-type参数为image/jpeg，并且我上传了一个文本文件，content-type将为text/plain，然后我将其更改为image/jpeg，站点会认为我上传的是.jpeg，但实际上我上传的是文本文件。我想用我自己的文件上传尝试这个缺陷，但我不知道如何编辑请求。
浏览 2提问于2013-07-20得票数 1
运行iis 10的web服务器，PHP (windows)允许用户上传任意类型的pdf (位置和文件名在服务器上不改变)。上传的文件经过一些我无法绕过的文件扩展名检查(我尝试在扩展名之前添加一个空字节、特殊字符、双句点)。我想知道是否有一些代码执行我可以做。
浏览 0提问于2022-05-29得票数 0
1回答
我正在学习“web服务器/网站的渗透测试”。我正在用以下步骤测试web服务器的安全性：
测试1:通过检查元素工具，我添加了新的表单元素
测试2:我填写了已经存在的表单元素，并通过注入的输入文件标记浏览php文件，当我提交表单时，它提交并上传了该文件(确保上传的文件位于该网站临时文件夹的临时文件夹中)。
测试3:现在我被挂在这里，因为我不知道如何访问我用步骤2上传的php文件？
任何想法都将不胜感激。多谢你的合作。
浏览 3提问于2016-05-25得票数 0
我们能在android设备中找到使用android工作室的文件吗？我说的是使用kali linux的有效载荷/漏洞上传到设备上的文件？
它们是否使用更新功能交付？
浏览 0提问于2016-10-10得票数 0
1回答
下面的代码试图将用户从表单中获取文件的输入，并将其上传到and服务器。
这段代码确实可以在Apache服务器上工作，但是我现在尝试在我的Windows IIS 6 web服务器上运行相同的代码，该服务器安装了PHP (Version5.2.3)并在运行。我已经设置了PHP.INI文件，以便
file_uploads = On
upload_tmp_dir = "C:\Temp“
我的表格是
<form method="POST" action="do_upload.php" enctype="multipart/form-data"
浏览 3提问于2013-11-01得票数 0
回答已采纳
如果这真的不是一个合适的问题，我很抱歉，但这种情况在我身上发生了很多次，我不知道发生了什么，因为我的网站上没有上传表格。不知何故，有人上传了很多PHP文件到我的FTP服务器上。这些文件甚至通过Google Analytics获得了流量。我有一个联系人表单，它确实需要加强安全性，但黑客可以通过它上传文件和更改我的.htaccess文件吗？
这是什么类型的黑客攻击？我很乐意对它做更多的研究，以便采取预防措施。
浏览 0提问于2011-10-04得票数 0
回答已采纳
如果可以在jpg文件中编写外壳代码，为什么不能将所有可以上传图像的why应用程序都感染呢？
在客户端计算机中，是否需要利用jpg查看器来运行外壳代码？
浏览 0提问于2016-04-11得票数 5
回答已采纳
2回答
我知道有很多关于这个话题的帖子。但这些帖子通常会谈到限制文件类型和大小等。因此，not满足我的需要，因为我的系统没有任何限制。
假设我们有一个web应用程序，它可以接受登录用户的上传。这些用户通过Active进行身份验证。不允许匿名用户。
用户可以将任何类型的文件上载到系统。然后用户可以预览通过我们的多用途查看器上传的文件。现在我们支持一些基本的文件类型，如图片，音乐，视频，pdf文件和办公室文件。我通过检查字典中的可查看类型来决定可查看类型，如果该类型不存在，则不会预览，而是直接下载。
我对我所面临的安全风险感到好奇，因此我将尝试详细说明我的系统。
在文件保存程序方面，我有两种不同的系统：
浏览 0提问于2017-01-23得票数 4
3回答
我目前正在做一个在线CTF，我有LFI可以读取上传功能的源代码。在这里，我看到了下面的一行：
shell_exec('rm -rf ' . directory/ . '*.p*');
因此，每当我上传一个.php文件，它就会被删除。
是否有一种方法可以打破代码，使*.p*文件的删除永远不会发生，或者我可以在没有文件扩展名为.php的情况下执行.php文件？
浏览 0提问于2020-07-27得票数 4
回答已采纳
我正在使用sftp出站网关将文件传输到sftp。在上传了一定数量的内容后，它会随机挂起。例如，假设我有20个文件要上传，它成功上传了10个文件，然后挂起并阻止了所有其他进程。
我正在通过服务激活器将文件提供给Sftp出站网关。
我的集成上下文如下：
<int-sftp:outbound-gateway id= "sftpOutboundGateWay" command="put" expression="payload" session-factory="sftpSessionFactory"
request-ch
浏览 0提问于2015-05-21得票数 1
1回答
安全过滤主动存储文件名？
、、、
rails指南(文件上传部分)给出了4段关于盲目接受用户文件的危险的伟大段落。一些要点：
如果您将文件上载存储在/var/www/上载，并且用户输入了一个文件名，如“../etc/etc/passwd”，它可能会覆盖一个重要文件。最好使用允许列表方法，它检查带有一组可接受字符的文件名的有效性。这与试图删除不允许字符的限制列表方法相反。
假设开发人员以最少的方式设置了Active Storage来处理他们的应用程序，他们将如何确保文件名被正确转义/净化/拒绝(这里可以推荐最佳策略)
到目前为止我所知道的
rails指南展示了这段代码，但只给出了一个示例，没有对它是否是最佳实践进行过多的
浏览 4提问于2021-01-26得票数 2
回答已采纳
我试图上传一个文件到我的主机服务器使用节点和容易-ftp。
我尝试使用以下代码：
var EasyFtp = require ("easy-ftp");
var ftp = new EasyFtp();
var config = {
host:'homexxxxx.1and1-data.host',
type:'SFTP',
port:'22',
username:'u90xxxx',
password:"mypass"
};
ftp.connect(co
浏览 0提问于2018-02-04得票数 2
1回答
我正在使用YUI uploader。它在chrome和firefox上运行得很好，在safari浏览器中，它只支持单个文件上传。当我选择多个文件时，它只显示0字节。有人能帮上忙吗。
浏览 0提问于2013-05-16得票数 0
1回答
当我试图上传图片到Firebase存储时，我遇到了一个奇怪的问题。基本上，我能够上传文件到存储，但完成回调没有发生。我需要这个回调来获取正在上传的文件的存储URL。
设置
let storage = Storage.storage()
let storageRef = storage.reference()
let data = curImg?.pngData()
let riversRef = storageRef.child("userUploads/Search/"+id+".png")
上传功能
let uploadTask = riversRef.pu
浏览 0提问于2019-06-09得票数 0
回答已采纳
2回答
我正在网站上进行渗透测试，并试图证明php代码可以通过文件上传来执行。该网站允许上传文件，但它检查：
1:文件类型
2:扩展(只有jpeg或png)
3:文件大小(最多2MB)。
所以，上传一个文件(test.php.png)是可能的，因此我认为在Exif数据中添加PHP代码会运行，但它不会运行，为什么呢？
浏览 0提问于2018-11-13得票数 1
回答已采纳
1回答
以只读模式运行程序
、、、
我有一个apache在用户apache下运行，具有很多权限(rw到多个目录)。现在我想让一些用户通过webform上传程序/脚本并执行它们，在文件上传php页面中使用php函数exec()。然而，我不希望那些程序能够写任何东西到硬盘驱动器。程序sudo似乎可以做我需要的事情，但我不知道如何使用它。
简短:如何在功能强大的用户下以只读模式运行程序和脚本？
如果有关系，我的系统是Centos 6。
浏览 0提问于2015-08-20得票数 2
回答已采纳
与手动查找漏洞相比，w3af等工具在查找web应用程序漏洞方面的效率如何？他们是否能够找到OWASP前10名中的所有漏洞，如反射xss、持久xss、sqli、lfi/rfi和不受限制的文件上传？还是会有一些漏洞从裂缝中掉下来，仍然没有被发现？
浏览 0提问于2014-11-27得票数 0
我面临以下问题：
当用户上传带有HTML文件输入的文件时，我想要接收文件路径本身。例如，我只得到C:/fakepath/filename.txt。
我知道浏览器知道文件的确切路径是安全的原因。因此，我想知道是否可以使用一些黑客、.net中的某种方式，或者使用额外的jquery/js插件来获得文件的完整路径。
为什么
我们不想将文件本身上传到服务器文件系统，也不想上传到数据库。我们只想将本地路径存储在数据库中，所以当同一个用户打开站点时，他可以单击该路径，并打开他的本地文件系统。
对这种方法有什么意见或建议吗？
如果这真的不可能的话
我想我们需要想出一个不同的想法。但由于有些答案已经过时了，
浏览 0提问于2018-05-23得票数 4
回答已采纳
我使用的是opencv 2.4.11，然后上传到google play商店，但由于libpng旧版本的漏洞错误而被拒绝。所以我更新了opencv 3.4.0。而不是上传到play商店，但错误仍在继续。我一直在寻找，但没有得到任何解决方案。得到了libpng下载的解决方案，但是在下载之后，我不知道在哪里导入该文件。如果有人知道答案，请回复我。
提前感谢
浏览 2提问于2018-01-19得票数 1
我是OSC的新手，我想知道是否有人遇到过和我一样的问题。我已经同意帮助一位朋友安装OSC，他在安装OSC时遇到了大量的安全问题。我能够通过file_manager.php文件来阻止脚本入侵他的服务器，方法是删除该文件并从admin/includes/boxes/tools.php中删除必要的代码行。
然而，现在他希望能够上传照片和添加新项目到他的商店。我知道这不是最佳实践，但由于他无法支付服务费用并且需要快速解决方案，我建议再次上传file_manager.php文件，并在admin/includes/boxes/tools.php中重新添加必要的代码行。然而，在这样做之后，他仍然不能上传图片
浏览 1提问于2011-01-24得票数 0
1回答
我们正在设计一个具有类似漏洞管理功能的web应用程序，我们的web应用程序功能可以简要介绍如下：
有一个面板可以启动一个程序来列出漏洞。
Bob通过我们的web应用程序启动他的程序。
Alice使用恶意文件报告该漏洞。
Bob收到带有恶意文件的报告，并收到警告，说明下载可能会产生相对后果。
Bob下载恶意文件并成为Alice的受害者。
现在，根据功能/可用性，我的开发人员认为。
我们可以允许恶意文件上传到应用程序，作为应用程序的核心功能(Alice将上传易受攻击的文件作为概念的证明)。
我们正在显示警告信息，这足以防止用户下载恶意文件，因为所有用户都是技术爱好者。
现在我的论点如下：
攻击者可
浏览 0提问于2016-01-06得票数 1
回答已采纳
2回答
我有个自由职业者在为我做一个项目。
我让他通过FTP访问主题文件夹。他将phpMiniAdmin上传到该文件夹，并以某种方式获得了数据库凭据，然后他将其用于登录。
他是如何获得这些证书的？一旦您可以将文件上载到服务器，是否存在可使用的漏洞？
浏览 0提问于2018-12-30得票数 2
回答已采纳
2回答
最近，在运行apache和php的客户端服务器上，我注意到一堆随机文件被放置在网站上的每个文件夹中。它们使用随机数命名，如205492.php。
还有一些.htaccess文件与这些随机编号的文件一起放置。我的主机告诉我它的客户端在php中上传脚本，但是文件的所有者/组被设置为httpd。我认为这意味着将文件放在这里的是apache守护进程。这些文件的创建时间都设置为完全相同的时间戳。
在随机的php文件中有很多CURL和base64_encode函数。我确实注意到建立我的客户网站的人在整个文件夹中有chmod到777。从那时起，我改到755岁，认为这可能是问题所在。
我想知道是否有人听说过这
浏览 0提问于2009-07-17得票数 1
回答已采纳
我尝试过获取上传文件的绝对路径，但我没有找到解决方案:我知道我无法获取上传文件的客户端绝对路径。浏览器的限制，因为这被认为是一个安全风险。所以如果我使用p:uploadeFile简单模式: http://www.primefaces.org/showcase-labs/ui/fileUploadSimple.jsf
它将是一个包含所选项目的绝对路径的inputText字段，所以我可以在单击submit按钮之前在我的受管bean中检索它(我的意思是将文件上传到服务器，将文件上传到服务器)
<p:fileUpload value="#{fileUploadController.fil
浏览 5提问于2012-10-02得票数 0
2回答
网站有没有可能只需点击一个按钮，就能自动找到U盘上的一个文件夹，并将其中的所有文件上传到web服务器？
问题是，我不知道如何使上传表单自动检测U盘作为驱动器的名称(即。G:、F:等)可能因计算机而异，因此硬编码路径是不可能的。
Ps。我正在使用yii框架进行站点开发，但可以添加一个新页面，该页面将以任何其他语言处理此功能，因为客户端确实需要此功能。
浏览 0提问于2012-02-20得票数 0
我对Angular是个新手。当用户上传文件时，我想要获取文件位置。但我得到的路径值如下所示(实际位置是D:\Games\example.docx)： C:\fakepath\example.docx 下面是我的代码： onFileSelected(event){
console.log(event);
this.selectedFile= <File>event.target.files[0];
console.log(event.target.value);
this.addSftpModel.selectedFile=t
浏览 44提问于2020-07-15得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
